Metodyka oceny ryzyka w i-SZBI
Szkoła, urząd i ośrodek pomocy społecznej (OPS) muszą oceniać ryzyko dla informacji, które przetwarzają. Wymagają tego przepisy o cyberbezpieczeństwie i o ochronie danych osobowych. Ta strona opisuje, jak robi się to w portalu i-SZBI, krok po kroku i na przykładzie.
Metodyka jest oparta na normie ISO/IEC 27005, czyli międzynarodowej normie o zarządzaniu ryzykiem w bezpieczeństwie informacji. ISO/IEC to skrót dwóch organizacji, które wspólnie wydają normy: Międzynarodowej Organizacji Normalizacyjnej i Międzynarodowej Komisji Elektrotechnicznej. Nikt z zewnątrz nie potwierdzał zgodności tej metodyki z normą. Opisujemy ją, żeby każdy mógł ją sprawdzić sam.
Spis treści: Proces krok po kroku · Skala ocen · Macierz 5×5 · Przykład · Zasady akceptacji · Zmiana skali · Podstawa prawna · Pytania
Proces krok po kroku
| Krok procesu (ISO/IEC 27005) | Co robi portal |
|---|---|
| Ustalenie kontekstu | Jednostka uzupełnia swój profil i zakres systemu zarządzania bezpieczeństwem informacji (SZBI). Kryteria oceny i akceptacji to skala i progi opisane niżej. |
| Identyfikacja ryzyka | Jednostka wpisuje aktywa informacyjne, np. dziennik elektroniczny, dysk sieciowy sekretariatu, teczki podopiecznych. Do każdego dobiera zagrożenie i podatność. Pomaga w tym biblioteka 61 typowych zagrożeń (oparta na katalogach ISO/IEC 27005 i Agencji Unii Europejskiej ds. Cyberbezpieczeństwa, ENISA) i 13 gotowych scenariuszy dla szkoły, urzędu i ośrodka pomocy. |
| Analiza ryzyka | Jednostka ocenia prawdopodobieństwo (1–5) i skutek (1–5). Skutek ocenia dwa razy: dla jednostki i jej usług oraz dla osób, których dane dotyczą. Portal prosi przy każdej ocenie o krótkie uzasadnienie — sama liczba nie jest analizą ryzyka. |
| Ocena ryzyka | Portal liczy poziom: prawdopodobieństwo × wyższy z dwóch skutków. Wynik od 1 do 25 trafia do jednego z czterech przedziałów: niskie, średnie, wysokie, krytyczne. |
| Postępowanie z ryzykiem | Jednostka wybiera, co zrobi: redukuje (wdraża zabezpieczenie), unika (rezygnuje z działania), przenosi (np. na ubezpieczyciela albo dostawcę) albo akceptuje. Wpisuje działanie, osobę odpowiedzialną i termin — portal ich nie wymusza, ale bez nich plan postępowania jest niepełny. Wskazuje zabezpieczenia z Deklaracji Stosowania (SoA), czyli listy 93 zabezpieczeń z Załącznika A normy ISO/IEC 27001:2022. |
| Ryzyko szczątkowe | Po wdrożeniu zabezpieczeń jednostka ocenia ryzyko drugi raz. Portal pokazuje oba wyniki i to, o ile zabezpieczenia obniżyły ryzyko. |
| Akceptacja ryzyka | Ryzyko, które zostaje, akceptuje kierownik jednostki albo osoba przez niego upoważniona. Portal zapisuje, kto zaakceptował, kiedy i do kiedy akceptacja obowiązuje. |
| Monitorowanie i przegląd | Rejestr ryzyk pokazuje stan każdej akceptacji. Po terminie oznacza ją „akceptacja wygasła” i ryzyko wraca do rozpatrzenia. Ryzyka wysokie i krytyczne bez decyzji są wyróżnione. |
Skala ocen
Przy polu oceny portal opisuje słowami stopnie 1, 3 i 5. Opisy stopni 2 i 4 to nasza podpowiedź dla ocen pośrednich.
Prawdopodobieństwo: jak często to może się zdarzyć
| Stopień | Jak często to może się zdarzyć |
|---|---|
| 1 | Raz na kilka lat lub rzadziej. |
| 2 | Ocena pośrednia: raczej nie w tym roku, ale zdarza się w podobnych jednostkach. |
| 3 | Może się zdarzyć w tym roku. |
| 4 | Ocena pośrednia: prawdopodobne w tym roku, były już sygnały ostrzegawcze, np. próby wyłudzenia danych przez fałszywe maile. |
| 5 | Zdarza się regularnie albo już się zdarzyło. |
Skutek dla jednostki i jej usług
| Stopień | Opis | Przykład w szkole lub urzędzie |
|---|---|---|
| 1 | Drobna niedogodność. | Przez godzinę nie działa drukarka w sekretariacie. |
| 2 | Ocena pośrednia: odczuwalny kłopot, łatwy do naprawienia. | Dzień pracy bez dostępu do jednego folderu. |
| 3 | Wymierna strata lub przestój. | Sekretariat przez dwa dni nie wydaje zaświadczeń. |
| 4 | Ocena pośrednia: poważny przestój albo strata, którą trudno odrobić. | Tydzień bez dysku sieciowego, część pism trzeba odtwarzać z papieru. |
| 5 | Wielodniowy przestój, wstrzymane wypłaty, kara, utrata danych. | Szyfrowanie danych przez przestępców i brak działającej kopii. |
Skutek dla osób, których dane dotyczą
Tej oceny wymaga RODO (ogólne rozporządzenie o ochronie danych), art. 24 i 32. Liczy się szkoda dla ludzi, a nie dla jednostki.
| Stopień | Opis |
|---|---|
| 1 | Drobna niedogodność. |
| 2 | Ocena pośrednia: niewielka szkoda, łatwa do odwrócenia. |
| 3 | Realna szkoda, np. ujawnienie sytuacji rodzinnej albo utrata świadczenia na pewien czas. |
| 4 | Ocena pośrednia: poważna szkoda, którą da się częściowo odwrócić. |
| 5 | Poważna, trudna do odwrócenia szkoda: ujawnienie danych o zdrowiu, przemocy domowej, uzależnieniach albo adresu ofiary sprawcy. |
Pole „skutek dla osób” można zostawić puste, gdy ryzyko nie dotyczy danych osobowych. Wtedy poziom liczy się z samego skutku dla usługi. Puste pole nie oznacza „zero szkody”.
Przy danych szczególnych kategorii (art. 9 RODO), np. o zdrowiu, skutek dla osób bywa wyższy niż skutek dla usługi. Wtedy to on wyznacza poziom ryzyka. Portal pokazuje przy wyniku, która ocena przesądziła.
Macierz ryzyka 5×5
Poziom = prawdopodobieństwo (P) × skutek (S). Skutek to wyższy z dwóch: dla usługi i dla osób.
| S1 | S2 | S3 | S4 | S5 | |
|---|---|---|---|---|---|
| P1 | 1 niskie | 2 niskie | 3 niskie | 4 niskie | 5 średnie |
| P2 | 2 niskie | 4 niskie | 6 średnie | 8 średnie | 10 wysokie |
| P3 | 3 niskie | 6 średnie | 9 średnie | 12 wysokie | 15 wysokie |
| P4 | 4 niskie | 8 średnie | 12 wysokie | 16 krytyczne | 20 krytyczne |
| P5 | 5 średnie | 10 wysokie | 15 wysokie | 20 krytyczne | 25 krytyczne |
| Przedział | Punkty | Kolor w portalu | Co to znaczy |
|---|---|---|---|
| Niskie | 1–4 | zielony | Zwykle wystarcza obserwacja. |
| Średnie | 5–9 | żółty | Warto zaplanować działanie. |
| Wysokie | 10–15 | pomarańczowy | Wymaga decyzji kierownictwa: plan postępowania albo świadoma akceptacja z terminem. |
| Krytyczne | 16–25 | czerwony | Wymaga decyzji kierownictwa. Przy akceptacji trzeba opisać, dlaczego jednostka ją przyjmuje i jak ogranicza skutki. |
Przykład od początku do końca: szyfrowanie danych w sekretariacie szkoły
Sytuacja. Rano pracownica sekretariatu włącza komputer. Zamiast dokumentów widzi pliki z obcym rozszerzeniem i żądanie okupu. Ten sam problem jest na dysku sieciowym. Leżą tam pisma, listy uczniów i dokumenty kadrowe. Taki scenariusz jest w portalu gotowy („Rano nie otwierają się pliki w sekretariacie”).
1. Aktywo. Dysk sieciowy sekretariatu z dokumentacją uczniów i pracowników.
2. Zagrożenie i podatność. Z biblioteki: „Ransomware szyfrujący dane i kopie zapasowe”. Ransomware to złośliwy program, który szyfruje pliki i żąda okupu. Podatność: kopie zapasowe leżą na tym samym serwerze i zostaną zaszyfrowane razem z danymi.
3. Ocena przed zabezpieczeniami.
- Prawdopodobieństwo: 3. Może się zdarzyć w tym roku. Szkoły są częstym celem, a do sekretariatu przychodzi dużo poczty z załącznikami.
- Skutek dla usługi: 5. Wielodniowy przestój sekretariatu i ryzyko utraty dokumentów.
- Skutek dla osób: 4. Dane uczniów i pracowników mogą wypłynąć, a przestępcy coraz częściej je publikują. Tę ocenę przyjmujemy w przykładzie. Biblioteka jej nie podpowiada.
- Poziom: 3 × 5 = 15, wysokie (liczy się wyższy skutek, czyli 5).
4. Postępowanie: redukuj. Zabezpieczenia z Deklaracji Stosowania, które podpowiada biblioteka: A.8.13 (kopie zapasowe), A.8.7 (ochrona przed złośliwym oprogramowaniem), A.8.16 (monitorowanie), A.5.29 (bezpieczeństwo podczas zakłóceń). Działania:
- kopia według zasady 3-2-1 z jednym egzemplarzem odłączonym od sieci;
- próba odtworzenia z kopii co miesiąc;
- ochrona komputerów z monitorowaniem;
- zwykli użytkownicy pracują bez uprawnień administratora.
Osoba odpowiedzialna: informatyk szkoły. Termin: koniec miesiąca.
5. Ocena po zabezpieczeniach.
- Prawdopodobieństwo: 2. Ochrona komputerów i brak uprawnień administratora utrudniają atak.
- Skutek dla usługi: 3. Dzięki sprawdzonej kopii sekretariat wraca do pracy w dzień albo dwa.
- Skutek dla osób: pole puste. Portal przyjmuje wtedy ocenę sprzed zabezpieczeń, czyli 4. Kopia przywraca pliki, ale nie cofa wycieku.
- Poziom: 2 × 4 = 8, średnie. Tym razem o poziomie przesądza skutek dla osób.
Portal pokazuje: przed 15, po 8, ryzyko niższe o 7 punktów (47%).
6. Akceptacja. Ryzyko średnie nie wymaga decyzji kierownictwa, ale dyrektor może je świadomie zaakceptować. Wpisuje swoje imię i nazwisko oraz datę. Portal podpowiada termin ważności 12 miesięcy. Po tym terminie rejestr oznaczy akceptację jako wygasłą i ryzyko wróci do przeglądu.
Wniosek z przykładu. Same kopie zapasowe nie obniżają skutku wycieku danych. Dlatego portal nie pozwala, żeby pusta ocena „po” zaniżyła ryzyko dla ludzi.
Zasady akceptacji ryzyka
- Akceptacja to decyzja kierownika jednostki albo osoby przez niego upoważnionej.
- Serwer nie zapisze akceptacji bez trzech danych: kto akceptuje, data akceptacji i termin ważności. Termin musi być późniejszy niż data akceptacji.
- Przy ryzyku krytycznym trzeba też opisać, dlaczego jednostka je akceptuje i co robi, żeby ograniczyć skutki.
- Portal podpowiada termin ważności zależny od poziomu ryzyka:
| Poziom ryzyka | Podpowiadany termin ważności akceptacji |
|---|---|
| Krytyczne | 3 miesiące |
| Wysokie | 6 miesięcy |
| Średnie | 12 miesięcy |
| Niskie | 12 miesięcy |
- Podpowiedź liczy się z oceny po zabezpieczeniach, a gdy jej nie ma, z oceny przed nimi.
- Jednostka może wpisać własny termin, jeśli jej polityka tak stanowi.
- Po terminie rejestr oznacza akceptację jako wygasłą i ryzyko wraca do rozpatrzenia.
Czy jednostka może zmienić skalę i progi?
Nie. Portal stosuje stałą skalę 5×5 i stałe progi: niskie 1–4, średnie 5–9, wysokie 10–15, krytyczne 16–25. Dzięki temu oceny są porównywalne między jednostkami, np. w gminie z wieloma szkołami. Jednostka może sama ustalić terminy ważności akceptacji. Jeśli jej polityka przewiduje inne kryteria oceny ryzyka, musi je dziś opisać we własnych dokumentach. W portalu ich nie ustawi.
Podstawa prawna
- Ustawa o krajowym systemie cyberbezpieczeństwa (KSC), Dz.U. 2026 poz. 252, art. 8 ust. 1 pkt 1 i 2: szacowanie ryzyka, zarządzanie nim i dobór środków. Dotyczy jednostek prowadzących pełny system. Szkoły i inne podmioty ważne publiczne w trybie uproszczonym stosują Załącznik nr 4 do ustawy (art. 8 ust. 3). Według załącznika system może dodatkowo obejmować pełne szacowanie ryzyka.
- Rozporządzenie o Krajowych Ramach Interoperacyjności (KRI), Dz.U. 2024 poz. 773: § 19 ust. 2 pkt 3 wymaga okresowej analizy ryzyka, a § 19 ust. 3 mówi, że wymagania uznaje się za spełnione, gdy system jest oparty na normie PN-ISO/IEC 27001, czyli polskim wydaniu normy ISO/IEC 27001. Rozporządzenie obowiązuje do 22 lutego 2027 r. i traci moc 23 lutego 2027 r.
- RODO, art. 24 i 32: środki ochrony danych dobiera się do ryzyka dla praw i wolności osób. Stąd osobna ocena skutku dla osób.
Portal wspiera spełnienie tych wymagań. Nie zastępuje decyzji kierownika jednostki ani audytu.
Zespół i-SZBI
Najczęstsze pytania
Czy jednostka może zmienić skalę i progi?
Nie. Portal stosuje stałą skalę 5×5 i stałe progi: niskie 1–4, średnie 5–9, wysokie 10–15, krytyczne 16–25. Dzięki temu oceny są porównywalne między jednostkami, np. w gminie z wieloma szkołami. Jednostka może sama ustalić terminy ważności akceptacji. Jeśli jej polityka przewiduje inne kryteria oceny ryzyka, musi je dziś opisać we własnych dokumentach. W portalu ich nie ustawi.
Kto akceptuje ryzyko i na jak długo?
Kierownik jednostki albo osoba przez niego upoważniona. Portal podpowiada termin ważności: krytyczne — 3 miesiące, wysokie — 6 miesięcy, średnie — 12 miesięcy, niskie — 12 miesięcy. Jednostka może wpisać własny termin. Po terminie ryzyko wraca do rozpatrzenia.
Po co dwa skutki: dla usługi i dla osób?
Bo ustawa o KSC i KRI patrzą na ciągłość działania jednostki, a RODO na szkodę dla ludzi. Wyciek danych o zdrowiu podopiecznego może nie zatrzymać pracy urzędu, a mimo to być poważną szkodą dla tej osoby. Portal liczy poziom z wyższego z dwóch skutków.
Czy ta metodyka ma potwierdzenie zgodności z normą?
Nie. Metodyka jest oparta na normie ISO/IEC 27005, ale nikt z zewnątrz nie potwierdzał jej zgodności z normą. Dlatego opisujemy ją w całości na tej stronie. Oceny w portalu wykonuje i zatwierdza sama jednostka.
Zobaczcie rejestr ryzyk w działaniu — demo ma gotowe ryzyka z oceną przed i po zabezpieczeniach, bez logowania.
Zobacz demo Bezpieczeństwo platformy Przewodnik: wdrożenie SZBI w JST
Zobacz też: jak chronimy dane jednostek · o portalu
Portal pozwala prowadzić dokumentację, zaplanować i udokumentować przegląd oraz audyt WEWNĘTRZNY, które przeprowadza wyznaczona przez jednostkę osoba, i gromadzi dowody. Nie zastępuje audytu bezpieczeństwa, który podmiot kluczowy przeprowadza co najmniej raz na trzy lata, ani audytu nakazanego decyzją organu (art. 15 ustawy o KSC), ani certyfikacji — certyfikat ISO/IEC 27001 wydaje jednostka akredytowana. Obowiązki ustawowe spoczywają na podmiocie.